首页
社区
课程
招聘
[原创]对抗驱动级关机回写的方法
发表于: 2009-5-1 03:01 13448

[原创]对抗驱动级关机回写的方法

2009-5-1 03:01
13448

很多ROOTKIT使用IoRegisterShutdownNotification的方式来关机回写自己的文件

对抗这种技术有一些方式:

方法1:HOOK FSD的IRP_MJ_SHUTDOWN例程

在所有的关机回调都执行完毕后,IoShutdownSystem会给所有的DiskFileSystem发送IRP_MJ_SHUTDOWN,以便他们将缓存中的文件flush到磁盘设备上

HOOK这个例程后先进行你的处理,就可以比任何关机回写更晚执行了

方法2:IoRegisterLastChanceShutdownNotification

这是给你的驱动设备注册一个“最后机会”关机回调

这个回调将在系统FLUSH并关闭完所有的存储设备后调用,因此这个回调里不能访问或调用任何分页内存的函数或数据,不能执行文件IO操作...

但比方法1更晚,你可以在这里实现自己的磁盘IO操作。


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 8
支持
分享
最新回复 (15)
雪    币: 412
活跃值: (30)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
2
貌似方法2要实现对特定文件 进行磁盘IO 有些困难.

qihoocom  夜行动物...
2009-5-1 13:18
0
雪    币: 7651
活跃值: (523)
能力值: ( LV9,RANK:610 )
在线值:
发帖
回帖
粉丝
3
03:01   膜拜~
2009-5-1 15:48
0
雪    币: 615
活跃值: (1212)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
4
这发贴时间,楼主身体能吃得消么..
2009-5-1 17:26
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
两个都貌似很邪恶的方法
2009-5-1 23:53
0
雪    币: 152
活跃值: (15)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
关键问题是“你的操作”里面要怎么判断?
2009-5-2 01:05
0
雪    币: 82
活跃值: (10)
能力值: (RANK:210 )
在线值:
发帖
回帖
粉丝
7
拔电

123456
2009-5-2 02:24
0
雪    币: 212
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
邪恶
mov al,feh
out 64h,al
写个J毛
2009-5-2 23:01
0
雪    币: 635
活跃值: (101)
能力值: ( LV12,RANK:420 )
在线值:
发帖
回帖
粉丝
9
楼上两个真NC,强制关机谁不知道?以为自己很聪明?知道不知道强制关机有多少几率破坏系统文件?
2009-5-2 23:12
0
雪    币: 258
活跃值: (16)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
10
长见识了1234
2009-5-3 09:02
0
雪    币: 82
活跃值: (10)
能力值: (RANK:210 )
在线值:
发帖
回帖
粉丝
11
方法1: 破坏系统文件几率小于在此时操作磁盘时被人hook造成的蓝屏.
方法2: IoUnregisterShutdownNotification(IN PDEVICE_OBJECT  DeviceObject);参数是DriverObject,太嫩了
2009-5-5 14:04
0
雪    币: 331
活跃值: (56)
能力值: ( LV13,RANK:410 )
在线值:
发帖
回帖
粉丝
12
病毒清除完毕。需要立即拔掉计算机电源才能完全清除。是否立即拔电?
                             是(Y)      否(N)
2009-5-6 01:39
0
雪    币: 104
活跃值: (73)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
Isaiah就是聪明
2009-5-6 08:21
0
雪    币: 244
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
厉害,这个搞得我头晕好几天了
2009-5-6 08:46
0
雪    币: 2
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
dms
15
强制关机难保不会破坏系统文件,造成开机不能了。
2009-5-6 08:58
0
雪    币: 635
活跃值: (101)
能力值: ( LV12,RANK:420 )
在线值:
发帖
回帖
粉丝
16
同上 NC真多
2009-5-6 11:51
0
游客
登录 | 注册 方可回帖
返回
//